AgentCore Gateway のアクセス許可を設定する

Amazon Bedrock AgentCore Gateway とその機能を使用するには、次のアクセス許可を考慮する必要があります。

詳細情報については、トピックを選択してください。

Gateway ビルダーとユーザーのアクセス許可

ID がゲートウェイを作成、管理、または使用できるようにするには、アイデンティティベースのポリシーを IAM ID にアタッチして、Amazon Bedrock AgentCore 関連のアクションを実行できるようにする必要があります。包括的なアクセス許可については、BedrockAgentCoreFullAccess 管理ポリシーを使用できます。

セキュリティと制御を強化するために、フルアクセスポリシーのアクセス許可を減らすことで、独自のカスタムポリシーを作成できます。たとえば、次のポリシーでは、アイデンティティが AgentCore Gateway に関連するアクションを実行できますが、AgentCore Runtime や AgentCore Browser などの他の AgentCoreサービスには実行できません。

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:*Gateway*",
        "bedrock-agentcore:*WorkloadIdentity",
        "bedrock-agentcore:*CredentialProvider",
        "bedrock-agentcore:*Token*",
        "bedrock-agentcore:*Access*"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:ListGateways",
        "bedrock-agentcore:GetGateway",
        "bedrock-agentcore:ListGatewayTargets",
        "bedrock-agentcore:GetGatewayTarget"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

ゲートウェイアクセス許可 (インバウンド認可)

ゲートウェイ関連のアクセス許可に加えて、呼び出し中に ID がゲートウェイにアクセスできるようにアクセス許可を設定する必要があります。インバウンド認可を設定するときに、これらのアクセス許可を設定します。

AgentCore Gateway サービスロールのアクセス許可

ゲートウェイを作成するときは、IAM ロールを引き受け、IAM ロールに代わって AWS リソースと外部サービスにアクセスするためのアクセス許可を持つサービスロールが必要です。サービスロールは、次の方法で作成できます。

サービスロールに必要なアクセス許可については、以下のトピックを参照してください。

信頼アクセス許可

サービスロールには、AgentCore サービスが IAM ID を引き受け、その代わりにアクションを実行できるようにする信頼ポリシーがアタッチされている必要があります。

以下は、使用できる信頼ポリシーの例です。

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "GatewayAssumeRolePolicy",
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:gateway/gateway-name-*"
        }
      }
    }
  ]
}

アウトバウンド認可のアクセス許可

ゲートウェイターゲットに使用するアウトバウンド認可のタイプに応じて、サービスロールにアクセス許可を追加して、ターゲットの呼び出しを許可する必要があります。これらのアクセス許可により、ゲートウェイサービスロールはターゲットを呼び出すための認可認証情報を取得できます。これは、アウトバウンド認可を設定するプロセスで実行できます。

AWS リソースへのアクセス許可

ゲートウェイのセットアップまたはゲートウェイに追加するターゲットによっては、ゲートウェイサービスロールにアクセス許可を追加して AWS 、リソースへのアクセスを許可する必要がある場合があります。以下のトピックでは、ゲートウェイサービスロールがアクセスする必要がある可能性のあるリソースについて説明します。

{
"Version": "2012-10-17",
    "Statement": [{
        "Sid": "AmazonBedrockAgentCoreGatewayLambdaProd",
        "Effect": "Allow",
        "Action": [
            "lambda:InvokeFunction"
        ],
        "Resource": [
            "arn:aws:lambda:us-east-1:123456789012:function:FunctionName"
        ]
    }]
}

{
"Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "LambdaAllowGatewayServiceRoleMyFunction",
            "Effect": "Allow",
            "Principal": {
              "AWS": "arn:aws:iam::123456789012:role/MyGatewayExecutionRole"
            },
            "Action": "lambda:InvokeFunction",
            "Resource":  "arn:aws:lambda:us-east-1:123456789012:function:MyFunction"
        }
     ]
}

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dynamodb:GetItem",
        "dynamodb:PutItem",
        "dynamodb:UpdateItem",
        "dynamodb:DeleteItem",
        "dynamodb:Query",
        "dynamodb:Scan"
      ],
      "Resource": "arn:aws:dynamodb:*:*:table/*"
    }
  ]
}

Gateway アクセス許可のベストプラクティス